Ein Montagmorgen, die Bildschirme zeigen eine Lösegeldforderung, und niemand weiss, wen man zuerst anrufen soll. In dieser Lage entscheiden die ersten Stunden darüber, wie gross der Schaden wird. Trotzdem hat gemäss einer Umfrage von BDO nur rund ein Drittel der Schweizer KMU einen schriftlichen Notfallplan. Allein im Jahr 2025 wurden dem Bundesamt für Cybersicherheit (BACS) 104 Ransomware-Angriffe gemeldet, die Dunkelziffer liegt deutlich höher.
Ein brauchbarer Plan muss nicht 40 Seiten umfassen. Die wichtigsten Teile lassen sich an einem Nachmittag zusammentragen. Entscheidend ist, dass er existiert, dass ihn die richtigen Leute kennen und dass er auch dann erreichbar ist, wenn die IT steht.
1. Kontakte zusammentragen
Im Ernstfall fehlen oft die einfachsten Dinge: Telefonnummern, Kundennummern, Vertragsnummern. Notieren Sie:
- Ihre IT-Betreuung mit Notfallnummer
- die Geschäftsleitung und eine Stellvertretung
- Ihren Internetanbieter und Ihren Softwarelieferanten mit Kundennummer
- die Cyberversicherung mit Policennummer und Notfall-Hotline, falls vorhanden
- die Bank, falls Zahlungen gestoppt werden müssen
- das BACS für die Meldung des Vorfalls
2. Systeme nach Wichtigkeit ordnen
Nicht alles muss gleichzeitig wieder laufen. Legen Sie gemeinsam fest, was zuerst zurückkommen muss. Eine einfache Liste genügt, etwa so:
- E-Mail und Telefon, damit Sie erreichbar bleiben
- ERP und Auftragsabwicklung
- Dateiablage
- alles Übrige
Schreiben Sie zu jedem Punkt dazu, wie lange ein Ausfall höchstens dauern darf und wie viele Daten im schlimmsten Fall verloren gehen dürfen. Diese zwei Zahlen bestimmen, wie die Datensicherung aufgebaut sein muss.
3. Die ersten Schritte festhalten
Bei einem Angriff gilt: Geräte vom Netz trennen, aber nicht ausschalten. Ein ausgeschalteter Rechner verliert Spuren im Arbeitsspeicher, die für die Analyse wichtig sind. Halten Sie die ersten Schritte in kurzen Sätzen fest:
- Netzwerkkabel ziehen und WLAN trennen
- IT-Betreuung anrufen
- nichts löschen, nichts neu installieren
- keine Lösegeldforderung beantworten
- Zeitpunkt und Beobachtungen notieren
4. Zuständigkeiten klären
Wer entscheidet, ob der Betrieb heruntergefahren wird? Wer informiert die Mitarbeitenden, wer die Kunden? Wer meldet den Vorfall dem Datenschutzbeauftragten (EDÖB), falls Personendaten betroffen sind? Für jede dieser Fragen braucht es einen Namen und eine Stellvertretung.
5. Den Plan erreichbar machen
Ein Notfallplan, der nur auf dem verschlüsselten Server liegt, nützt nichts. Drucken Sie ihn aus und legen Sie ihn an zwei Orten ab, etwa im Büro und bei der Geschäftsleitung zu Hause. Eine Kopie auf dem Smartphone ist ebenfalls sinnvoll.
6. Einmal im Jahr üben
Der beste Plan hilft wenig, wenn ihn niemand kennt. Spielen Sie einmal im Jahr einen Fall durch: Was tun wir, wenn morgen der Server nicht mehr startet? Dabei zeigt sich schnell, welche Nummer veraltet ist oder welcher Ablauf nicht funktioniert. Prüfen Sie bei dieser Gelegenheit auch, ob sich die Datensicherung tatsächlich zurückspielen lässt.
Unterstützung durch uns
Wir erstellen den Notfallplan gemeinsam mit Ihnen, prüfen die Datensicherung und üben den Ernstfall. Wie ein Angriff typischerweise abläuft, lesen Sie im Beitrag über Verschlüsselungstrojaner. Mehr zu unseren Leistungen unter IT-Sicherheit und Backup & Wiederherstellung.
Häufige Fragen
Wie umfangreich muss ein IT-Notfallplan sein?
Für ein KMU genügen meist zwei bis fünf Seiten. Wichtiger als der Umfang ist, dass Kontakte, Prioritäten und erste Schritte stimmen und dass der Plan ausgedruckt vorliegt.
Müssen wir einen Cyberangriff melden?
Betreiber kritischer Infrastrukturen müssen Cyberangriffe innert 24 Stunden dem BACS melden. Für alle anderen ist die Meldung freiwillig, aber sinnvoll. Sind Personendaten betroffen, kann zusätzlich eine Meldung an den EDÖB nötig sein.
Sollen wir den Computer bei einem Angriff ausschalten?
Nein. Trennen Sie das Gerät vom Netzwerk, lassen Sie es aber eingeschaltet. So bleiben Spuren erhalten, die bei der Aufklärung helfen.
Wie oft muss der Plan aktualisiert werden?
Mindestens einmal im Jahr und bei jeder grösseren Änderung, etwa einem neuen Server, einem neuen Softwarelieferanten oder personellen Wechseln.
